D'abord : rien ne sort de votre navigateur
Commençons par ce qui devrait vous préoccuper en arrivant sur une page pareille. L'analyse s'exécute intégralement en JavaScript, dans votre navigateur. Aucun mot de passe n'est transmis à un serveur, ni journalisé, ni conservé.
Cela dit, prenez l'habitude générale de ne jamais saisir un mot de passe réellement utilisé sur un site de test, quel qu'il soit et quelles que soient ses promesses. Testez un mot de passe de structure comparable si vous voulez évaluer votre méthode.
La longueur écrase tout le reste
C'est le point que les règles de sécurité traditionnelles ont longtemps raté. Face à une attaque par force brute, chaque caractère supplémentaire multiplie le nombre de combinaisons possibles. L'effet est exponentiel, et aucune substitution de caractères ne s'en approche.
Un mot de passe long composé de mots ordinaires résiste bien mieux qu'une courte suite de
caractères tarabiscotés. Une phrase de quatre ou cinq mots sans rapport entre eux est à la fois
plus solide et infiniment plus facile à retenir que quelque chose comme
P@ssw0rd! — lequel figure d'ailleurs dans tous les dictionnaires d'attaque.
Les règles qui ne servent à rien
Remplacer un a par un @, un e par un 3, un o par un zéro : ces substitutions sont connues depuis toujours et intégrées dans les outils d'attaque. Elles n'apportent pratiquement rien.
L'obligation de changer son mot de passe tous les trois mois a également été abandonnée par les référentiels de sécurité modernes, y compris les recommandations américaines du NIST. La raison est empirique : contraints de changer souvent, les utilisateurs produisent des variantes prévisibles en incrémentant un chiffre à la fin. On change désormais un mot de passe quand on a une raison de le croire compromis.
Le vrai danger : la réutilisation
Un testeur de force ne détecte pas le risque le plus courant. Le mot de passe le plus solide du monde devient inutile s'il sert sur plusieurs sites et que l'un d'eux est compromis.
Les attaquants prennent les couples identifiant/mot de passe issus d'une fuite et les essaient massivement ailleurs. Ce n'est pas votre mot de passe qui est cassé, c'est votre habitude de le réutiliser qui est exploitée.
Conséquence pratique : un mot de passe différent par service, ce qui devient ingérable de tête et impose un gestionnaire de mots de passe. C'est la seule mesure qui règle le problème plutôt que de le déplacer.
La double authentification change la donne
Activer un second facteur — une application génératrice de codes ou une clé physique — protège un compte même si le mot de passe fuite. C'est la mesure au meilleur rapport effort/bénéfice de toute la sécurité personnelle.
Préférez une application dédiée ou une clé matérielle au code envoyé par SMS : ce dernier reste vulnérable au détournement de ligne, même s'il vaut infiniment mieux que rien.
Activez-la en priorité sur votre messagerie principale. Elle commande la réinitialisation de tous vos autres comptes : qui la contrôle les contrôle tous.
Ce qu'un score de force ne dit pas
Un indicateur de solidité évalue la structure d'un mot de passe : sa longueur, la variété de ses caractères, la présence de suites évidentes. Il ne sait pas si ce mot de passe figure déjà dans une base de données ayant fuité.
Un mot de passe peut donc obtenir une excellente note tout en circulant depuis des années dans les listes utilisées par les attaquants. Pour cette vérification-là, il faut un service qui compare aux fuites connues — c'est une fonction différente, et complémentaire.